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(5) Redundantes Datenverarbeitungssystem 

(§) Die Erfindung betrifft ein redundantes Datenverarbei- 
tungssystem mit mindestens zwei Datenverarbeitungsanla- 
gen, die Zentraleinheiten (ZE1, ZE2) und Mittel zum Erkennen 
von Unterbrechungsereignissen sowie Mittel zu deren Syn- 
chronisation nach Auftreten eines Unterbrechungsereignis- 
ses aufweisen. Um eine mdglichst schnelle Synchronisation 
der- am redundanten Betrieb beteiligten Datenverarbettungs- 
anlagen emzuleiten, bleibt die Zentraleinheit {ZE1, ZE2), die 
bis zum Auftreten des Unterbrechungssignals eine Pro- 
grammbearbeitung am weitesten durchgefuhrt hat, so lange 
in einem Wartezustand, bis die anderen Zentraleinheiten 
(ZE1, ZE2) den Programmzustand dieser Zentraleinheit (ZE1. 
ZE2) erreicht haben. 

Die Erfindung wird angewandt in Automatisierungsgeraten. 
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Beschreiburig 

Die Erfindung betrifft ein redundantes Datenverar- 
beitungssystem gemaB dem Oberbegriff des Anspruchs 
1. " ~ 5 

Urn die Verfiigbarkeit und die Fehlersicherheit von 
Datenverarbeitungs- oder Steuerungssystemen zu er- 
hohen, werden diese redundant aufgebaut. Beim Ausfall 
oder bei einem fehlerhaften Betrieb einer Datenverar- 
beitungsanlage ubernimmt eine andere am redundanten io 
Betrieb beteiligte Datenverarbeitungsanlage die Re- 
chen- und Steuerfunktion und steilt sicher, daQ der Be- 
trieb fehlerlos fortgefiihrt wird. Damit der Betrieb im 
Anforderungsfall fehlerlos fortgefuhrt werden kann, 
muB sichergestellt sein, daB alle Datenverarbeitungsan- 15 
lagen ein identisches Programm synchron bearbeiten. In 
der europaischen Patentanmeldung 89 107 476.7 ist ein 
Verfahren zur Synchronisation von Datenverarbei- 
tungsanlagen vorgeschlagen. Die Synchronisation der 
Datenverarbeitungsanlagen wird erst dann vorgenom- 20 
men, wcnn nach einem Unterbrechungsereignis ein ak- 
tuell ablaufender Programmabschnitt in jeder Daten- 
verarbeitungsanlage bis zu einem Synchronisations- 
punkt (z. B. bis zum Ende dieses Programmabschnitts) 
bearbeitet wurde. 25 

Der vorliegenden Erfindung liegt die Aufgabe zu- 
grunde, ein redundantes Datenverarbeitungssystem der 
eingangs genannten Art zu schaffen, das nach Auftreten 
eines Unterbrechungsereignisses moglichst schnell die 
Synchronisation der am redundanten Betrieb beteilig- 30 
ten Datenverarbeitungsanlagen einleitet. 

Diese Aufgabe wird durch die im kennzeichnenden 
Teil des Anspruchs 1 angegebenen Merkmale gelost. 

Bei dem neuen redundanten Datenverarbeitungssy- 
stem erfolgt eine Synchronisation nicht an vorgegebe- 35 
nen Synchronisationspunkten (z. B. Bausteingrenze), 
sondern es wird ermittelt, welche Datenverarbeitungs- 
anlage nach einem Unterbrechungsereignis in der Pro- 
grammbearbeitung am weitesten fortgeschritten ist. 
Diese Stelle im Programm ist der Synchronisations- 40 
punkt, und die weiteren im redundanten Betrieb mitwir- 
kenden Datenverarbeitungsanlagen fuhren die sequen- 
tielle Bearbeiiung des identischen Programms fort, bis 
der Synchronisationspunkt erreicht isl. Wenn alle den 
gleichen Stand erreicht haben, wird auf das Unterbre- 45 
chungsereignis reagiert. 

Eine Ausgestaltung der Erfindung ergibt sich aus dem 
Unteranspruch. 

Ein Ausfuhrungsbeispiel der Erfindung ist in der 
Zeichnung dargestellt und wird im folgenden naher er- 50 
lautert. 

Dabei zeigen 

Fig. 1 ein redundantes Datenverarbeitungssystem 
und 

Fig. 2 das Zeitverhalten des Systems gemaB Fig. 1 . 55 
Fig. 1 zeigt ein zweikanalig redundantes Datenverar- 
beitungssystem, das uber einen Bus BU mit einem Pro- 
zeB P verbunden ist. Von zwei Datenverarbeitungsanla- 
gen sind lediglich die Zentraleinheiten ZE1, ZE2 darge- 
stellt, die jeweils einen Zentralprozessor ZPl, ZP2, Pro- 60 
grammzahler PZ1, PZ2, Vergleicher VGl, VG2 und 
UND-Gatter UNI, UN2 aufweisen. Zur Vereinfachung 
sind lediglich die Teile der Zentraleinheiten ZEl. ZE2 
dargestellt, die zur Verdeutlichung der Erfindung von 
Bedeutung sind. Auch sind weitere Teile der Datenver- 65 
arbeitungsanlagen, wie z. B. Massenspeicher oder Da- 
tenubertragungssteuerungen, nicht abgebildet. Die Zen- 
traleinheiten ZEl, ZE2 sind uber Leitungen LI, L2, L3 
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miteinander verbunden, die Teile eines Kommunika- 
tionsbusses sind oder als spezielle Steuerleitungen aus- 
gebildet sein konnen. Wahrend der Bearbeitung eines 
identischen Programmes in den Zentraleinheiten ZEl, 
ZE2 zahlen die Programmzahler PZ1, PZ2, die uber Lei- 
tungen Inl, In2 entsprechende Steuerimpulse rhalten, 
die bereits ausgefuhrten Programmschritte und schalten 
die jeweiligen Zahlerstande a, b uber die Leitungen LI, 
L2 den Vergleichern VGl, VG2 zu. Ist der Zahlerstand a 
des Programmzahlers PZ1 groBer als der Zahlerstand b 
des Programmzahlers PZ2, so weist dies darauf hin, daB 
der Zentralprozessor ZPl die Programmbearbeitung 
am weitesten durchgefuhrt hat Der Vergleicher VGl 
schaltet in diesem Fall sein Ausgangssignal K.1 in den 
aktiven Zustand und beaufschlagt das UND-Gatter 
UNI mit diesem Signal. "In einen aktiven Zustand schal- 
ten" bedeutet den Wechsel des binaren Signalzustandes 
"0" in den Zustand T, entsprechend bedeutet "in einen 
inaktiven Zustand schalten" einen Wechsel vom Zu- 
stand "1" in den Zustand "0" 

Fur den Fall, daB ein von dem ProzeB P bewirktes 
Unterbrechungsereignis einer der Zentraleinheiten 
ZEl, ZE2 aufgeschaltet wird, ist es erforderlich, daB die 
Zentraleinheiten ZEl, ZE2 sich zunachst synchronisie- 
ren miissen, bevor auf das Unterbrechungsereignis rea- 
giert werden kana Die Zentralprozessoren ZPl, ZP2 
weisen an sich bekannte Mittel zum Erkennen eines 
Unterbrechungssignals auf, und der Zentralprozessor 
ZPl oder ZP2 beaufschlagt die Leitung L3 mit einer 
Synchronisationsanforderung, die bei gleichzeitig anlie- 
gendem aktiven Signal Kl bewirkt, daB das UND-Gat- 
ter UNI sein Ausgangssignal Hoi aktiv schaltet. Dar- 
aufhin wird der Zentralprozessor ZPl in den Wartezu- 
stand geschaltet, bis der Zahlerstand b des Programm- 
zahlers PZ2 den Zahlerstand a des Programmzahlers 
PZ1 erreicht hat. In diesem Fall wird das Ausgangssi- 
gnal Kl des Vergleichers VGl vom Signalzustand "1" in 
den Zustand M 0" geschaltet, was bewirkt, daB das UND- 
Gatter UNI sein Ausgangssignal Hoi ebenfalls inaktiv 
schaltet. Die Zentraleinheiten ZEl, ZE2 haben den glei- 
chen Programmzustand erreicht und arbeiten synchron. 
Es kann nun auf das anliegende Unterbrechungsereignis 
reagiert werden. Rucksetzsignale Rel, Re2 der Zentral- 
einheiten ZEl, ZE2 setzen die Programmzahler PZ1, 
PZ2 nach einem Zustandswechsel der Synchronisations- 
anforderung von aktiv nach inaktiv zuruck. 

Zur Verdeutlichung der Funktions- und Wirkungs- 
weise des neuen redundanten Datenverarbeitungssy- 
stems zeigt Fig. 2 das Zeitverhalten des Systems gemaB 
Ftg. 1. Die in den Fig. 1 und 2 gleichen Teile sind mit 
gleichen Bezugszeichen versehen. Zu einem Zeitpunkt 
tO werden in den Zentraleinheiten ZEl, ZE2 identische 
Programme gestartet, und die Programmzahler PZ1, 
PZ2 zahlen ab einem Zahlerstand 0 die ausgefuhrten 
Programmschritte. Zu einem Zeitpunkt tl ist der Zah- 
lerstand a des Programmzahlers PZ1 gleich 3, wahrend 
der Zahlerstand b des Programmzahlers PZ2 den Wert 
2 aufweist Daraufhin wird das Ausgangssignal Kl des 
Vergleichers VGl aktiv geschaltet. Zu einem Zeitpunkt 
t2 schaltet einer der Zentralprozessoren ZPl, ZP2 auf- 
grund eines Unterbrechungsereignisses eine Synchroni- 
sationsanforderung Sa auf der Leitung L3 aktiv. Da das 
Signal IC1 immer noch im aktiven Zustand ist, wechselt 
das Ausgangssignal Hoi des UND-Gatters UNI in den 
aktiven Zustand, so daB der Zentralprozessor ZPl in 
einen Wartezustand versetzt wird und keine weiteren 
Programmschritte mehr ausfiihrt. Der Zahlerstand b des 
Programmzahlers PZ2 erhoht sich weiter, da der Zen- 
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tralprozessor ZP2 die Bearbeitung des Programms fort- 
setzt Erreicht der ZahleTstand b l den Wert 1! und ist 
damit gieich dern Zahlerstand a, weisen die Zentralein- 
heiten ZE1, ZE2 gleiche Programmzustande auf ; sie sind 
damit wieder synchron. Das Ausgangssignal Hoi des 5 
UND-Gatters UNI wechseit den Signalzustand von "1" 
auf "0". und die Zentraleinheit ZE1 verlaBt ihren Warte- 
zustand Zum Zeitpunkt t3 kann nun auf das anstehende 
Unterbrechungsereignis reagiert werden. 

Nachdem die Programmzahler PZ1, PZ2 auf Null zu- 10 
ruckgesetzt sind, zahlen diese wiederum die Programm- 
schritte des jeweiligen abzuarbeitenden Programms. Es 
zeigt sich zu einem Zeitpunkt t4, daQ der Zen tralprozes- 
sor ZP1 wiederum das zu bearbeitende Programm 
schneller bearbeitet als derZentralprozessorZP2, und 15 
das Ausgangssignal Kl des Vergleichers VG1 wechseit 
in den Signalzustand T. Bei einem erneuten Unterbre- 
chungsereignis und einer von einem der Zentralprozes- 
soren ZP1, ZP2 aktiv geschalteten Synchronisationsan- 
fordemng zu einem Zeitpunkt t5 wird der Zentralpro- 20 
zessor ZPt durch das Ausgangssignal Hoi des UND- 
Gatters UNI angehalten. Der Zentralprozessor ZP1 
verbleibt in diesem Wartezustand wiederum so lange, 
bis der Zahlerstand b des Programmzahlers PZ2 eben- 
falls den Zahlerstand a gieich 9 des Programmzahlers 25 
PZ1 erreicht hat Dies ist zu einem Zeitpunkt t6 der Fall, 
zu welchem die Programmzahler PZ1, PZ2 durch die 
Rucksetzsignale Rel, Re2 zuruckgesetzt werden und 
der Zentralprozessor ZP1 seinen Wartezustand verlaBt 
Die Zentraleinheiten ZE1, ZE2 konnen nun auf das Un- 30 
terbrechungsereignis reagieren. 

Zu einem Zeitpunkt t7 tritt der Fall ein, daB der Zen- 
tralprozessor ZP2 das aktuell zu bearbeitende Pro- 
gramm schneller abarbeitet als der Zentralprozessor 
ZP1. Das Ausgangssignal K2 des Vergleichers VG2 35 
wird aktiv geschaltet, und bei einer Synchronisationsan- 
forderung zu einem Zeitpunkt t8 wird der Zentralpro- 
zessor ZP2 angehalten. Zu einem Zeitpunkt t9 sind die 
Zahlerstande a, b der Programmzahler PZ1, PZ2 gieich, 
und das Ausgangssignal Ho2 des UND-Gatters UN2 40 
wechseit seinen Signalzustand von T auf "0". Der Zen- 
tralprozessor ZP2 verlaBt seinen Wartezustand, die 
Programmzahler PZ1, PZ2 werden zuruckgesetzt, und 
die Zentraleinheiten reagieren auf das anstehende Un- 
terbrechungsereignis. 45 
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- einen Vergleicher (VGl, VG2), der die Zah- 
lerstande der Programmzahler (PZ1, PZ2) ver- 
gleicht und dessen Ausgangssignal bei Auftre- 
ten eines Unterbrechungssignals fur den Fall, 
daB der Zahlerstand (a, b) eines Programmzah- 
lers (PZ1, PZ2) einer Zentraleinheit (ZE1, ZE2) 
groBer ist als die Zahlerstande (a, b) der ande- 
ren Programmzahler (PZ1, PZ2), die Pro- 
grammbearbeitung in dieser Zentraleinheit 
(ZE1, ZE2) so lange sperrt, bis die anderen 
Programmzahler (PZ1, PZ2) den gleichen Zah- 
lerstand (a, b) aufweisen. 



Hierzu 1 Seite(n) Zeichnungen 



Patentanspruche 

1. Redundantes Datenverarbeitungssystem mit 
mindestens zwei Datenverarbeitungsanlagen, die 50 
Zentraleinheiten (ZE1, ZE2) und Mittel zum Erken- 
nen von Unterbrechungsereignissen sowie Mittel 

zu deren Synchronisation nach Auftreten eines Un- 
terbrechungsereignisses aufweisen, dadurch ge- 
kennzeichnet, daB die Zentraleinheit (ZE1, ZE2), 55 
die bis zum Auftreten des Unterbrechungssignals 
eine Programmbearbeitung am weitesten durchge- 
fiihrt hat, so lange in einem Wartezustand bleibt. bis 
die anderen Zentraleinheiten (ZE1, ZE2) den Pro- 
grammzustand dieser Zentraleinheit (ZE1, ZE2) er- 60 
reichthaben. 

2. Redundantes Datenverarbeitungssystem nach 
Anspruch 1, dadurch gekennzeichnet, daB jede 
Zentraleinheit (ZE1, ZE2) aufweist: 

- einen Programmzahler (PZ1, PZ2), der nach 65 
Beendigung eines Synchronisationsvorgangs 
die Anzahl der ausgeftihrten Programmschrit- 
te eines zu bearbeitenden Programms zahlt, 
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